EP3470937A1 - Verfahren und vorrichtungen zum überwachen der reaktionszeit einer durch ein sicherheitssystem bereitgestellten sicherheitsfunktion - Google Patents

Verfahren und vorrichtungen zum überwachen der reaktionszeit einer durch ein sicherheitssystem bereitgestellten sicherheitsfunktion Download PDF

Info

Publication number
EP3470937A1
EP3470937A1 EP18198915.3A EP18198915A EP3470937A1 EP 3470937 A1 EP3470937 A1 EP 3470937A1 EP 18198915 A EP18198915 A EP 18198915A EP 3470937 A1 EP3470937 A1 EP 3470937A1
Authority
EP
European Patent Office
Prior art keywords
subsystem module
module
time
subsystem
safety
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
EP18198915.3A
Other languages
English (en)
French (fr)
Other versions
EP3470937B1 (de
Inventor
Hendrik Borgmann
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Phoenix Contact GmbH and Co KG
Original Assignee
Phoenix Contact GmbH and Co KG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Phoenix Contact GmbH and Co KG filed Critical Phoenix Contact GmbH and Co KG
Publication of EP3470937A1 publication Critical patent/EP3470937A1/de
Application granted granted Critical
Publication of EP3470937B1 publication Critical patent/EP3470937B1/de
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Program-control systems
    • G05B19/02—Program-control systems electric
    • G05B19/04—Program control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Program control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0423—Input/output
    • G05B19/0425—Safety, monitoring
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24008—Safety integrity level, safety integrated systems SIL SIS
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/25—Pc structure of the system
    • G05B2219/25314—Modular structure, modules

Definitions

  • the present invention relates to a method for monitoring the response time of a security function provided by a security system, as well as to an apparatus for carrying out the method and a method for configuring the apparatus.
  • the security system provides a security function and is modularly constructed from at least two subsystem modules, wherein these are connected to a data transmission channel and in particular each provide a partial security function and are designed for functionally secure data processing and / or transmission.
  • Failsafe automation systems are increasingly being used within automated processes, machines and plants. In general, these fail-safe automation systems implement the actual safety function, such as Emergency stop, two-handed switching, mode selector switch, or the like, and on the other hand also fault-detecting and - controlling measures after e.g. in standards such as IEC 61508, ISO 13849 and other established mechanisms that are state of the art.
  • the term "security” in the context of the invention and in the description and the claims, unless otherwise stated, relates to the functional safety.
  • functional safety is also referred to by the terms “safe” and “safety”, in contrast to the terms “secure” and “security”, which are typically used for electrical safety or to protect the technical processing of information for prevention unauthorized data manipulation or disclosure of information.
  • Functional safety in accordance with the IEC 61508 standard includes, for example, the use of various methods of error control, such as the avoidance of systematic errors in development, on-the-fly monitoring for the detection of random errors and / or the safe control of detected faults and faults the transition to a previously defined as safe state. All these measures can be part of certain, previously defined safety functions. In general it can be said that two- or multi-channel systems, in which each channel alone can trigger a safety function, can achieve a higher SIL with less technical effort than those which have only one channel.
  • a safety chain is referred to by the term "safety chain”, possibly also by the term “safety loop”, even if the safety chain forms or must form a loop.
  • an electrical, electronic and / or programmable electronic system but also a single subsystem module or even a single hardware and / or software component effectively fulfills a specific safety function
  • this system or the respective subsystem module in the context of the following description and the claims as safe or safety-related.
  • a system which is intended to fulfill one or more specific safety functions and in this case is composed of a plurality of subsystem modules, ie of at least two subsystem modules, each of which in turn should fulfill partial safety functions, is considered a safety system in the context of the invention.
  • a variety of machines and / or systems are used within a system, which must also realize security functions cooperatively, they form part of the invention subsystem modules of the system, which then from the plurality of subsystem modules together a security system or more Training safety systems.
  • a security system which is formed of a feeding machine, a punching machine and ejection machine, all three have to implement certain security functions, with the punching system as a whole to be considered security system, ie the interaction of the individual subsystem modules .
  • Such a security system within the scope of the invention thus generally has several fail-safe automation devices which are arranged in different subsystem modules within a system, ie an overall system, but co-operate within the system and form a security system across the involved subsystem modules.
  • an overall safety validation of the safety system that overlaps the participating subsystem modules does not only have to take place during the first commissioning.
  • This also applies to any change in the configuration of a modular safety system, a modular plant or machine.
  • the parameters must be recalculated and documented, new error considerations, error calculations, and validation steps to prove the safety category or levels required for the system or machine, e.g. SIL4, e.g. when replacing a single module or as a result of aging processes within individual modules.
  • the safety-relevant characteristics of the individual modules must be functionally combined according to their interaction. These characteristics are typically documented in device descriptions and must be current at the time of calculation.
  • the relevant safety standards and directives require machine manufacturers to provide the safety-relevant characteristics, such as Failure rates, diagnostic coverage, SFF (Safe Failure Fraction), Hardware Fault Tolerance (HFT), or response times for individual modules.
  • SFF Safe Failure Fraction
  • HFT Hardware Fault Tolerance
  • response times for individual modules.
  • today offline software tools such as e.g. SISTEMA (safety of controls on machines) by the Institute for Occupational Safety of the German Social Accident Insurance (IFA).
  • the EP 2 359 201 a method for determining a security level in an automation network with a plurality of security-related participants. This comprises the steps: automatic determination of the data and sequence links between the nodes in the automation network by a configuration acquisition module; automatic determination of the subscriber-specific safety characteristics by a characteristic data acquisition module; and calculating the security level in the automation network by means of a calculation rule that connects the ascertained data and operational links of the nodes in the automation network and the determined subscriber-specific security characteristics.
  • the configuration acquisition module and the characteristic data acquisition module are part of a central security manager that accesses the components involved in a security function online via a network.
  • the local Applicant proposes in her earlier application DE 10 2015 103 359 a method for the automatic validation of safety functions on a modular safety system, wherein the safety system, a so-called safety validator called central checking device is turned on.
  • the method comprises, inter alia, the steps of: transferring the local, module-specific, safety-relevant actual characteristic values from the individual subsystem modules to the checking device, automatic processing of the read, local, module-specific, safety-relevant actual characteristic values resulting from the interaction of the individual subsystem modules, comprehensive safety-relevant actual characteristics, namely by that verification device; automatic comparison of the resulting, overall safety-relevant actual characteristic values with the desired characteristic values of the system stored in the memory of the checking device, namely by the checking device and automatic generation of a reaction signal as a function of the result of the comparison.
  • the so-called safety validator checks online during commissioning and at runtime changing safety-related parameters of decentralized partial safety functions, combines these, monitors the adherence to preconfigured limits and, if exceeded, can bring the system into a
  • the local applicant proposes in its earlier application DE 10 2015 103 740 a method for processing and transmitting data within a functionally safe electrical, electronic or programmable electronic system, which is constructed from at least two sub-systems, each of which meets a certain security level.
  • It comprises the steps of processing data by means of the secure hardware and / or software component of a first of the sub-systems into functionally secure data of a first security level and adding to this data at least one identification attribute which determines the suitability of this data for the use of this data first security levels; Transmitting this data, including the added tag attribute, to a second of these subsystems; and checking the received tag attribute by the second subsystem by means of its secure hardware and / or software component as to whether the security level that this tag attribute identifies is equal or different from the security level that the second subsystem satisfies, and, if the check results in unequal security levels provides functionally secure processing of the data based on the lower security level.
  • Both the EP 2 359 201 as well as the DE 10 2015 103 359 provide a central instance in the form of a security manager or reviewer. However, this can lead to a limitation of flexibility and manageability, especially with regard to monitoring the safety chain of an overall safety function of a modular safety system during operation. There is also an additional hardware effort.
  • the object of the present invention is to simplify and / or improve the monitoring of a security function provided by a security system, in particular a security chain, in particular the monitoring of compliance with predetermined reaction times.
  • simplified monitoring should also be made possible, in particular, in the case of dynamic and / or modular security systems which change their configuration.
  • a central idea of the invention resides in the fact that a time stamp is used, which indicates the time at which an event which triggers a safety function was detected, wherein the time stamp is passed along the security chain carrying out the safety function and at any point Safety chain, in particular at the end of the safety chain in the last subsystem module, which controls the actuators, is used to check the reaction time of the safety function, where determined from the difference of the current time and the time stamp specified by the time stamp, an actual reaction time and compared with a target value becomes.
  • the at least two subsystem modules form a safety chain, wherein the first subsystem module in particular the beginning and the second subsystem module forms the end of the safety chain.
  • the safety chain i. the security system may comprise further subsystem modules, including a plurality of subsystem modules, in particular being arranged along the security chain between the first and second subsystem modules.
  • the security system advantageously comprises at least a third subsystem module, wherein the time stamp is transmitted from the first subsystem module to the second subsystem module via the at least one third subsystem module.
  • the generated timestamp is transmitted from the first subsystem module to a third subsystem module and further transmitted from the third subsystem module to the second subsystem module or to another third subsystem module.
  • the comparison value with which the determined reaction time is compared in the second subsystem module is preferably stored in the second subsystem module. It is also conceivable that the comparison value can be called up by the second subsystem module in order to allow a dynamic adaptation of the comparison value.
  • the triggering of the predetermined safety reaction as a function of the comparison result takes place in particular in the case of a negative comparison result, while if the result of the comparison is positive, the functionally safe data are processed further in the usual way in order to carry out the safety function whose reaction time is monitored.
  • the further processing of the functionally safe data can also be provided for a negative comparison result, wherein the predetermined safety reaction is additionally carried out.
  • a negative comparison result is present in particular if the determined reaction time is above the comparison value.
  • the first subsystem module preferably comprises a timer, in particular in the form of a real time clock.
  • the second subsystem module preferably also includes a timer, likewise designed in particular as a real-time clock, in order to determine the reaction time of the safety function as a function of the received time stamp.
  • all subsystem modules of the security system have a timer, so that each subsystem module of the security system can monitor the reaction time up to the respective subsystem module.
  • the timers in the first and second subsystem module are advantageously synchronized with each other. If the security system includes further subsystem modules which have a timer, these timers are advantageously also included in the synchronization. It is particularly advantageous to synchronize the timers with a reference timer, which can be arranged in a subsystem module of the security system or in a separate reference module.
  • the synchronization of the timers with each other or with the reference timer can preferably be cyclically in predetermined time intervals, the time intervals are advantageously determined depending on the gear error of the timer used.
  • synchronization may also be provided before the respective subsystem module is put into operation.
  • the reference timer can in turn be advantageously synchronized at predetermined time intervals with a time standard, for example with the aid of the time signal transmitter DCF77.
  • the reference timer can be arranged in a control device of an automation system, wherein the control device is in particular a subsystem module of the safety chain executing the safety function, and is designed, for example, as a PLC (Programmable Logic Controller).
  • the controller is preferably the leader in the synchronization of the timers and provides the reference time.
  • the safety function is triggered by a sensor, such as an emergency stop button, a light curtain, a protective door or the like, the sensor being connected to an input module of an automation system.
  • the first subsystem module is designed as an input module of an automation system, to which a sensor is connected, wherein the generation of functionally secure data in the first subsystem module advantageously comprises detecting a sensor signal by means of the sensor and the processing of the detected sensor signal to the functionally safe data.
  • the time stamp generated by the first subsystem module advantageously indicates the time at which the sensor signal was detected by the sensor.
  • a sensor parameter is advantageously stored in the first subsystem module, which indicates a reaction time of the sensor connected to the first subsystem module, wherein the first subsystem module generates the time stamp as a function of the sensor parameter.
  • a filter time which is assigned to an input of the input module for connecting a sensor.
  • a filter time typically indicates a delay time which serves to filter noise at the input to avoid inadvertent changes in the signal state at the input.
  • Another parameter could be, for example, a firmware time which indicates the time required by the input module for data processing by means of its firmware
  • the input module If, for example, a response time of 260 ms is stored in the input module as the sensor parameter and a value of 3 ms is stored as the filter time of the corresponding connection, the input module generates, for example, a time stamp which indicates a time which corresponds to the current time provided by the timer minus 263 ms, so that the timestamp indicates the time when the sensor triggering event occurred.
  • the generated timestamp is advantageously transmitted together with the generated functionally secure data to the next subsystem module of the security chain, in the simplest case directly to the second subsystem module, advantageously during the transfer of the functionally secure data and the generated timestamp according to an underlying secure data transmission protocol together be transmitted in a common protocol-specific data area or separately in separate protocol-specific data areas.
  • the safety function causes the execution of a safety-related action of an actuator, for example, switching off a dangerous device, for example by switching off an engine.
  • the second subsystem module is designed as an output module of an automation system, to which an actuator is completed.
  • an actuator parameter is stored in the second subsystem module, which indicates a reaction time of the at least one actuator connected to the second subsystem module, the second subsystem module determining the reaction time of the safety function as a function of the actuator parameter.
  • a follow-up time of a motor can be taken into account.
  • the first subsystem module is designed as an intelligent sensor and / or the second subsystem module as an intelligent actuator.
  • the security system comprises at least one subsystem module, which is designed as a control device of an automation system.
  • a plurality of first and / or second subsystem modules may be provided, in which case a plurality of first subsystem modules may be connected to the same, designed as a third subsystem control module.
  • the control device receives at least two time stamps which are assigned to individual functionally safe data, in particular of two separate input modules of the safety system provided for redundant sensor technology.
  • the control device particularly advantageously selects one of the time stamps as a function of a predetermined parameterization and only transfers this time stamp to another subsystem module of the security system, in particular to at least one subsystem module following in the security chain.
  • the parameterization and thus the selection of the time stamp to be transmitted depend, in particular, on the logical link received by the control device functionally secure data from which are assigned to the timestamps.
  • the timestamp which corresponds to the earliest point in time and thus leads to the determination of the longest, ie the worst, reaction time of the safety function, is transmitted in each case.
  • the at least two timestamps are assigned functionally secure input data, wherein the control device processes these input data into functionally secure output data and retransmits them together with the selected timestamp.
  • At least two sensors are connected to an input module, which in particular forms the first subsystem module of the safety system, wherein a time stamp is generated for each of the connected sensors and of these timestamps in dependence of a predetermined parameterization of the input Module a timestamp is selected and transmitted.
  • a system for carrying out a method as described above, which is designed to execute a safety function comprises at least a first subsystem module, which is designed to generate functionally secure data and to generate a time stamp associated with the functionally secure data, and at least one second subsystem -Module, which is connected via a data transmission channel to the first subsystem module, and which is adapted to receive a time stamp from the first subsystem module, depending on the received time stamp to determine a reaction time of the safety function, the determined response time with a Compare comparison value, and to trigger a predetermined safety response depending on the comparison result.
  • a device for use as a subsystem module in a security system which is designed to perform a security function, wherein the device is designed to generate functionally secure data and a time stamp associated with the functionally secure data, and transmit the functionally secure data and the associated timestamp over a communication link.
  • the invention also provides a method for configuring such a device, which provides for transmitting a sensor parameter to the device, which indicates a reaction time of a sensor connected to the device, and to store the sensor parameter in the device, the device being designed to generate the time stamp in dependence on the stored sensor parameter.
  • a device for use as a subsystem module in a security system which is designed to perform a security function, wherein the device is adapted to receive a time stamp via a communication link, depending on the received time stamp one Determine reaction time of the safety function to compare the determined reaction time with a comparison value, and to trigger a predetermined safety response depending on the comparison result.
  • the invention also provides a method for configuring such a device, which provides for transmitting an actuator parameter to the device, which indicates a response time of an actuator connected to the device, and for storing the actuator parameter in the device, the device being designed for this purpose is to determine the reaction time of the safety function as a function of the stored sensor parameter.
  • subsystem modules of the security system for transmitting the data and time stamps are connected to at least one data transmission channel, and that the subsystem modules of the security system each provide in particular a partial security function and trained for a functionally secure data processing and / or transmission are.
  • the concept of the data transmission channel does not necessarily require the presence of a bus system. Rather, within the scope of the invention are also subsystem modules, eg modular machines, wherein the modules for data transmission are not networked with each other via bus systems.
  • subsystem modules eg modular machines, wherein the modules for data transmission are not networked with each other via bus systems.
  • data transmission channel are, for example, subsystem modules in which the "data transmission channel” to which they are connected is composed of respective internal interconnected backplane buses.
  • the subsystem modules can therefore also be, for example, modular devices with internal backplane bus.
  • the data transmission channel runs over a plurality of, in particular also hierarchically structured communication networks, for example via a coupling module or gateway in this case, the coupling module or the gateway in particular forms a subsystem module of the security system.
  • the present invention offers many advantages. Above all, it provides a simple means of permanently monitoring the response time of a safety function performed by a safety chain in a modular safety system during operation.
  • the user has the task of verifying compliance with the required reaction times. This evidence is always associated with effort and are therefore often either not or incomplete created or not tightened in case of changes.
  • the user generally sets a response time of a safety function as a value, which results from the sum of watchdog times, which are defined for the individual subsystem modules of the safety system executing the safety function.
  • reaction times which can be safely maintained even with a deterioration of the system behavior in general, but significantly below a reaction time, resulting from the sum of watchdog times, is problematic because the proof that these reaction times are met, with From the prior art known method is not possible.
  • a particular advantage of the invention is to make this possible. By passing on the signal values with time stamps, it is possible to ensure the observance of a safe reaction time, which is significantly better than today's totaling of watchdog times and much more reliable than calculating with typical Values. As a result, the invention allows faster response times, shorter safety distances and more availability.
  • the passing on of the acquisition time of a signal is therefore also an important basis, for example for cross-plant secure communication and the assembly of modular systems in the Industry 4.0 environment.
  • FIG. 1 shows a schematic representation of an automation system, wherein in the illustrated embodiment, a plurality of input and output modules are connected via a communication network 400 with a central control device 300.
  • a sensor 510 is connected to the input module 110, and two sensors 521 and 522 are connected to the input module 120, the two sensors being used in particular as redundant sensors.
  • an intelligent sensor 130 is provided, which is connected directly to the communication network and can communicate with the controller 300.
  • an output module 210 is provided, which is connected via the communication network 400 to the controller 300, and an intelligent actuator, which is connected directly to the communication network and can communicate with the controller 300.
  • the system according to the invention can be carried out, depending on which safety function the reaction time is to be monitored, different of the illustrated modules can form subsystem modules of the safety system, which executes the safety function.
  • the security system may include the input module 110 as a first subsystem module and the output module 210 as a second subsystem module, wherein the input module 110 processes sensor signals from the connected sensor 510 into functionally secure data. Assigned to the functionally secure data, the input module 110 generates a time stamp wherein the input module 110 includes a real-time clock 701 for this purpose.
  • the input module 110 transmits the functionally secure data along with the generated time stamp to the controller 300, which in this embodiment forms a third subsystem module of the security system.
  • the controller processes the input data received from the input module 110 and generates output data using a user program stored in the controller 300, which transmits the control to the output module 210. Together with the output data, the controller 300 continues to transmit the time stamp generated by the input module 110 to the output module 210 unchanged.
  • the output module 210 determines a reaction time of the safety function as a function of the received time stamp, compares the determined reaction time with a comparison value, and triggers a predetermined safety reaction as a function of the comparison result. To determine the response time, the output module 210 has a real-time clock 702.
  • the safety function is triggered by the sensor 510 which is connected to the input module 110 and which can be designed, for example, as an emergency stop button, light grid or protective door.
  • the time stamp generated by the input module 110 advantageously indicates the time at which the sensor signal was detected by the sensor 510.
  • a sensor parameter is advantageously stored in the input module 110, which indicates a reaction time of the sensor 510, wherein the input module 110 generates the time stamp as a function of the sensor parameter.
  • a filter time which is assigned to the input of the input module 110 for connecting the sensor 510.
  • a filter time typically indicates a delay time which serves to filter noise at the input to avoid inadvertent changes in the signal state at the input.
  • the input module 110 If, for example, a response time of 260 ms is stored in the input module 110 as the sensor parameter and a value of 3 ms is stored as the filter time of the corresponding connection, the input module 110 generates, for example, a time stamp which indicates a time which the current one, from the timer 701 provided time minus 263 ms, so that the time stamp indicates the time at which the sensor 510 triggering event has occurred.
  • the safety function causes the execution of a safety-related action of an actuator 610, for example, switching off a hazardous device, such as a motor.
  • an actuator parameter is stored in the output module 210, which indicates a reaction time of the at least one actuator 610 connected to the output module 210, the output module 210 determining the reaction time of the safety function as a function of the actuator parameter.
  • Fig. 1 illustrated automation system are a variety of other combination of modules conceivable that can form a security system.
  • intelligent sensor 130 and smart actuator 220 could form a security system, in which case smart sensor 130 has appropriate processing logic to generate output data.
  • the first subsystem module is adapted to generate a time stamp and the second subsystem module is adapted to determine a response time depending on the time stamp, the two modules in particular each have a real time clock for this purpose.
  • the controller 300 may also be provided as a second subsystem module and accordingly determine the reaction time, the controller 300 also having a real time clock 703 for this purpose.
  • Security systems are also conceivable which comprise a plurality of input and / or output modules.
  • the real-time clocks 701, 702 and 703 are preferably synchronized with one another, with an advantageous synchronization of the real-time clocks 701 and 702 respectively with the real time clock 703 of the controller 300, which specifies a reference time.
  • the synchronization preferably takes place at least when the respective module is put into operation, and advantageously at predetermined time intervals.
  • the automation system can also, as in Fig. 2 illustrated, have a hierarchical communication structure, wherein in the in Fig. 2 example, a first communication network 400 and a second communication network 410 is provided, for example formed as a bus system 400 and Ethernet-based network 410.
  • the networks 400 and 410 are interconnected via a gateway 310, wherein the Gateway 310 may form a subsystem module of the security system.
  • Fig. 3 schematically shows an exemplary safety system 10, which has two channels and two sensors 501 and 502, two input modules 101 and 102, two logic modules 301 and 302, and two output modules 201 and 202, with actuators 601 and respectively connected thereto 602 includes.
  • a security system 10 runs a first data transmission channel from the sensor 501, via the input module 101, the logic module 301 and the output module 201 to the actuator 601, and a second communication channel from the sensor 502, via the input module 102nd , the logic module 302 and the output module 202 to the actuator 602.
  • the input modules 101 and 102, the logic modules 301 and 302, as well as the output modules 201 and 202 are respectively formed with each other to communicate. Accordingly, other data transmission channels than those mentioned above can be defined.
  • Fig. 3 For example, in the input modules 101 and 102 shown in FIG Fig. 1 and Fig. 2 illustrated input module 120, as well as the logic modules 301 and 302 may be arranged in the controller 300.
  • Fig. 4 shows another embodiment of a security system 20, which includes three machines 103, 303 and 203.
  • the safety function in the example shown is to automatically switch off the machines 303 and 203 if the machine 103 fails.
  • the machine 103 has a real-time clock and is designed to generate a time stamp when a failure occurs and to transmit this to the machine 303 together with a shut-down signal.
  • the engine 303 shuts off upon receipt of the shutdown signal and sends a shutdown signal to the engine 203, along with the time stamp received from the engine 103.
  • the machine 203 switches off upon receipt of the switch-off signal and determines the reaction time of the safety function as a function of the received time stamp and with the aid of a real-time clock 705, compares this with a setpoint value and executes a safety reaction if the reaction time is above the setpoint value.
  • each of the described subsystem modules can have both a data transmission and a data reception component, so that bidirectional data transmission is possible.
  • the invention makes it possible for secure input modules, controllers and output modules to process not only variable values but also time stamps at runtime so as to decide whether the safe outputs may also be accessed in consideration of this extended security information.
  • This enables reliable calculations with realistic values, which can change dynamically during operation.
  • the programming and / or bus configuration also advantageously includes the connected safe sensors and actuators. Sensors and actuators are also managed in the device catalog of the safe programming interface in order to only have to enter parameters once or to enable an import. Due to the sensor / actuator configuration, safe I / O modules are also implicitly parameterized compatible with the sensor / actuator so that device parameterization by the user is eliminated. When inserting sensors and / or actuators into the safe user program, the safety-related characteristic values of the component, in particular an assigned reaction time, are also implicitly transferred from the component library or the device catalog to the safe user program.
  • the user gives his specifications, i. The specification of the safety functions, as a result of the risk assessment in the secure programming interface and this automatically verifies the results.
  • the overall system calculates the values by calculation and provides the user with a result for each safety function as well as an overall result for all safety functions (OK / not OK).
  • Real-time clocks between safe control and safe modules are advantageously synchronized during startup and during operation, since they are needed to determine the age of an information / message and thus the reaction time of a security function.
  • the downstream unit may be a secure controller or another of the modules described above, or possibly even a module arranged in a cloud.
  • Safe control as an example of a downstream unit, is thus able to judge whether the information is current enough and safe enough.
  • a code analyzer determines the signal flows in the safe user software and, in turn, determines the output signals based on this for transmission to the neighboring logic unit or output module.
  • the code analyzer makes the results available to the user. If necessary, the user can postprocess the determined result here.
  • the benefit of the invention lies in the fact that by passing on the signal values with timestamp, the safe response time is significantly better than with today's summation of watchdog times and much more reliable than calculating with typical values.

Landscapes

  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Safety Devices In Control Systems (AREA)

Abstract

Um eine Überwachung auf Einhaltung vorgegebener Reaktionszeiten in einem Automatisierungssystem zu vereinfachen und/oder zu verbessern, schlägt die Erfindung ein Verfahren zum Überwachen der Reaktionszeit einer durch ein Sicherheitssystem bereitgestellten Sicherheitsfunktion vor, wobei das Sicherheitssystem wenigstens ein erstes und ein zweites Teilsystem-Modul umfasst. Das Verfahren sieht das Erzeugen funktional sicherer Daten in dem ersten Teilsystem-Modul, das Erzeugen eines Zeitstempels im ersten Teilsystem-Modul, welcher den funktional sicheren Daten zugeordnet ist, das Übertragen des Zeitstempels vom ersten Teilsystem-Modul zum zweiten Teilsystem-Modul, das Ermitteln einer Reaktionszeit der Sicherheitsfunktion durch das zweite Teilsystem-Modul in Abhängigkeit des empfangenen Zeitstempels, das Vergleichen, im zweiten Teilsystem-Modul, der ermittelten Reaktionszeit mit einem Vergleichswert, und das Auslösen einer vorbestimmten Sicherheitsreaktion in Abhängigkeit des Vergleichsergebnisses vor. Ferner schlägt die Erfindung ein System und Vorrichtungen zum Durchführen des Verfahrens, sowie Verfahren zum Konfigurieren der Vorrichtungen vor.

Description

  • Die vorliegende Erfindung betrifft ein Verfahren zum Überwachen der Reaktionszeit einer durch ein Sicherheitssystem bereitgestellten Sicherheitsfunktion, sowie eine Vorrichtung zur Durchführung des Verfahrens und ein Verfahren zum Konfigurieren der Vorrichtung. Das Sicherheitssystem stellt dabei eine Sicherheitsfunktion bereit und ist aus wenigstens zwei Teilsystem-Modulen modular aufgebaut, wobei diese an einen Datenübertragungskanal angeschaltet sind und insbesondere jeweils eine Teilsicherheitsfunktion bereitstellen und für eine funktional sichere Datenverarbeitung und/oder -übertragung ausgebildet sind.
  • Zur Reduzierung eines Risikos für Mensch oder Umwelt bei automatisierten Prozessen, Maschinen und Anlagen müssen Sicherheitsfunktionen realisiert werden, wie z.B. die Abschaltung einer Maschine nach Drücken eines Not-Aus-Tasters oder die Überführung der Anlage in den Sicheren Zustand nach Erkennen eines Fehlers. Hier werden zunehmend fehlersichere Automatisierungssysteme innerhalb der automatisierten Prozesse, Maschinen und Anlagen eingesetzt. Im Allgemeinen realisieren diese fehlersicheren Automatisierungssysteme einerseits die eigentliche Sicherheitsfunktion, wie z.B. Not-Aus, Zweihand-Schaltung, Betriebsartenwahlschalter, oder ähnliches, und andererseits auch fehlererkennende und - beherrschende Maßnahmen nach z.B. in Standards wie IEC 61508, ISO 13849 und anderen festgelegten Mechanismen, welche dem aktuellen Stand der Technik entsprechen.
  • Hierbei betrifft der Begriff "Sicherheit" im Rahmen der Erfindung sowie in der Beschreibung und den Ansprüchen, soweit nicht anderes angegeben ist, die funktionale Sicherheit. Im englischen Sprachraum wird die funktionale Sicherheit auch mit den Begriffen "safe" und "safety" bezeichnet, in Abgrenzung zu den Begriffen "secure" und "security", welche typischerweise für eine elektrische Sicherheit oder auch den Schutz der technischen Verarbeitung von Informationen zur Verhinderung nicht-autorisierter Datenmanipulationen oder Preisgabe von Informationen verwendet werden.
  • In der internationalen Norm IEC 61508 bzw. in der im Wesentlichen inhaltsgleichen Europäischen Norm EN 61508 werden funktional sichere elektrische, elektronische und programmierbar elektronische Systeme unter anderem auch hinsichtlich deren Entwicklung beschrieben. Die darin vorgegebenen Anforderungen an den Entwicklungsprozess von sicheren Systemen führen zu signifikant höherem Aufwand und benötigtem Entwicklungsbudget im Vergleich zur Entwicklung von Standardsystemen. Dabei nehmen die Anforderungen mit zunehmendem Sicherheitsintegritätslevel (SIL; SIL1 bis SIL4) zu. Mit dem Begriff Sicherheitsintegritätslevel, oder auch Sicherheitsanforderungsstufe, wird über den jeweiligen Level ein bestimmtes Maß für die notwendige bzw. erreichte Wirksamkeit von Sicherheitsfunktionen zur Risikominderung definiert. Wenn keine sicherheitsgerichteten (auch als sicherheitsbezogen oder sicherheitsrelevant bezeichnet) Anforderungen gelten, so ist die Entwicklung nach den normalen Standards des betrieblichen Qualitätsmanagements durchzuführen. Darüber hinaus stellt der Sicherheitsintegritätslevel SIL1 die geringsten Anforderungen. Je höher der Sicherheitsintegritätslevel, desto höher sind auch die Anforderungen an die Sicherheit.
  • Die funktionale Sicherheit gemäß der Norm IEC 61508 umfasst zum Beispiel die Anwendung diverser Methoden zur Beherrschung von Fehlern, wie beispielsweise die Vermeidung systematischer Fehler in der Entwicklung, die Überwachung im laufenden Betrieb zur Erkennung von zufälligen Fehlern und/oder die sichere Beherrschung von erkannten Fehlern und den Übergang in einen vorher als sicher definierten Zustand. Alle diese Maßnahmen können Teil von bestimmten, vorher festgelegten Sicherheitsfunktionen sein. Allgemein kann gesagt werden, dass zwei- oder mehrkanalige Systeme, bei denen jeder Kanal für sich allein eine Sicherheitsfunktion auslösen kann, mit weniger technischem Aufwand eine höhere SIL erreichen können als solche, die nur einen Kanal besitzen. Als Kanal wird dabei der Informationsfluss durch eine Sicherheitskette bezeichnet, angefangen zum Beispiel von der Anforderung einer Sicherheitsfunktion, zum Beispiel durch einen Näherungsmelder, eine Lichtschranke, einen Taster, oder eine andere Art von Sensor, endend mit dem Aktor bzw. Stellglied, welches den sicheren Zustand einer Maschine einleitet. Im englischen Sprachraum wird eine Sicherheitskette mit dem Begriff "safety chain" bezeichnet, gegebenenfalls auch mit dem Begriff "safety loop", auch wenn die Sicherheitskette Schleife bildet oder bilden muss.
  • Ist durch geeignete Maßnahmen somit gewährleistet, dass ein elektrisches, elektronisches und/oder programmierbar elektronisches System, aber auch ein einzelnes Teilsystem-Modul oder auch eine einzelne Hardware- und/oder Software-Komponente eine bestimmte Sicherheitsfunktion wirksam erfüllt, gilt dieses System bzw. das jeweilige Teilsystem-Modul im Rahmen der nachfolgenden Beschreibung und der Ansprüche als sicher oder sicherheitsgerichtet. Ein System, das eine oder mehrere bestimmte Sicherheitsfunktionen erfüllen soll und hierbei aus einer Mehrzahl von Teilsystem-Modulen, d.h. aus wenigstens zwei Teilsystem-Modulen, aufgebaut ist, welche jeweils für sich wiederum Teilsicherheitsfunktionen erfüllen sollen, gilt im Rahmen der Erfindung als Sicherheitssystem.
  • In aktuellen Maschinen und Anlagen werden abhängig von der Ausdehnung der Anlagen und vom Automatisierungsgrad Kommunikationssysteme, oder auch Datenübertragungssysteme, wie z.B. Ethernet-basierte Netzwerke oder Feldbusse, verwendet, die dezentrale Eingabe-/Ausgabe-Geräte, oder kurz E/A-Geräte, wie z.B. Sensoren bzw. Aktoren, und Steuerungen verbinden. Für die Übertragung von sicherheitsrelevanten Daten werden in der Regel sichere Kommunikationsprotokolle, oder auch Datenübertragungs- bzw. Netzwerkprotokolle, benutzt. Sichere Kommunikationsprotokolle sind heutzutage standardisiert, z.B. in der IEC 61784-3. Dort werden basierend auf Grundsätzen der sicheren Netzwerkkommunikation unterschiedliche Sicherheitsprofile beschrieben. Alle diese Netzwerkprotokolle müssen die unterschiedlichen Fehlermodelle, wie z.B. Verfälschung, Verlust, Verzögerung, Vertauschung und so weiter von Daten und/oder Telegrammen, beherrschen. Die Wirksamkeit der risikominimierenden technischen Maßnahmen in Maschinen und/oder Anlagen muss während der Inbetriebnahme einer Maschine oder Anlage durch eine Gesamtsicherheitsvalidierung nachgewiesen und protokolliert bzw. dokumentiert werden. Hierbei müssen alle Sicherheitsfunktionen vor Übergang in die Betriebsphase der Maschine oder Anlage in ihrer Wirksamkeit überprüft werden. Dies ist bei einer vollständigen und nicht veränderten Maschine oder Anlage noch überschaubar, wird allerdings in zunehmend häufiger vorkommenden modularen Maschinen oder Anlagen immer aufwändiger und komplexer.
  • Wird darüber hinaus eine Vielzahl von Maschinen und/oder Anlagen innerhalb eines Systems eingesetzt, welche auch Sicherheitsfunktionen zusammenwirkend realisieren müssen, bilden diese im Rahmen der Erfindung Teilsystem-Module des Systems, welches dann aus der Vielzahl dieser Teilsystem-Module zusammen ein Sicherheitssystem oder auch mehrere Sicherheitssysteme ausbildet. Hier muss demnach die Wirksamkeit der risikominimierenden technischen Maßnahmen durch eine Gesamtsicherheitsvalidierung des die beteiligten Teilsystem-Module übergreifenden Sicherheitssystems nachgewiesen werden. Als Beispiel für ein solches Sicherheitssystem sei eine Stanzanlage genannt, welche aus einer Zuführmaschine, einer Stanzmaschine und einer Auswurfmaschine gebildet ist, die alle drei bestimmte Sicherheitsfunktionen realisieren müssen, wobei auch die Stanzanlage insgesamt als zu betrachtendes Sicherheitssystem, d.h. beim Zusammenwirken der einzelnen Teilsystem-Module, d.h. gemäß Beispiel die Zuführmaschine, Stanzmaschine und Auswurfmaschine, bestimmte Sicherheitsfunktionen realisieren muss. Ein solches Sicherheitssystem im Rahmen der Erfindung besitzt somit in der Regel mehrere fehlersichere Automatisierungseinrichtungen, die in verschiedenen Teilsystem-Modulen innerhalb eines Systems, d.h. eines Gesamtsystems angeordnet sind, jedoch innerhalb des Systems zusammenwirken und übergreifend über die beteiligten Teilsystem-Module ein Sicherheitssystem ausbilden.
  • Eine Gesamtsicherheitsvalidierung des die beteiligten Teilsystem-Module übergreifenden Sicherheitssystems muss jedoch nicht nur bei der ersten Inbetriebnahme erfolgen. Dies gilt ebenso für jede Änderung der Konfiguration eines modularen Sicherheitssystems, einer modularen Anlage oder Maschine. Für jede Konfiguration müssen die Kennwerte neu berechnet und dokumentiert, neue Fehlerbetrachtungen, Fehlerrechnungen und Validationsschritte zum Nachweisen der für das System oder die Maschine notwendigen Sicherheitskategorie, bzw. Sicherheitslevels, z.B. SIL4, ausgeführt werden, so z.B. beim Austausch eines einzelnen Moduls oder auch in Folge von Alterungsprozessen innerhalb einzelner Module. Dabei müssen die sicherheitsrelevanten Kennwerte der einzelnen Module entsprechend ihrem Zusammenwirken funktional kombiniert werden. Diese Kennwerte sind typischerweise in Gerätebeschreibungen dokumentiert und müssen zum Zeitpunkt der Berechnung aktuell sein. Die einschlägigen Sicherheitsnormen und Richtlinien verpflichten die Maschinenhersteller, die sicherheitsrelevanten Kennwerte wie z.B. Ausfallraten, Diagnosedeckungsgrad, SFF (Safe Failure Fraction), HFT (Hardware Fault Tolerance) oder Reaktionszeiten für einzelne Module anzugeben. Für die Berechnung der sicherheitsrelevanten Kennwerte werden heute Offline-Software-Tools, wie z.B. SISTEMA (Sicherheit von Steuerungen an Maschinen) vom Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung (IFA), verwendet.
  • Des Weiteren muss aber auch während des Betriebs des Sicherheitssystems bzw. der sicheren Anlage oder Maschine die Funktionsfähigkeit sowie die Wirksamkeit der technischen, risikominimierenden Maßnahmen in definierten Zeitintervallen getestet werden.
  • Der Modularisierung von Maschinen, Anlagen oder Sicherheitssystemen sowie dynamischen Konfigurationsänderungen oder adaptiven Zusammenstellungen von vormals unbekannten Sicherheitsmodulen tragen aber die heutigen Sicherheitsstandards, wie z.B. IEC 61508, EN 13849, IEC 62061, zumindest bisher nur teilweise Rechnung.
    Ferner ist die heutige Zeit geprägt von cyber-physischen Systemen (CPS, engl. cyber physical systems), der Verteilung von Intelligenzen und dem Internet der Dinge (engl. Internet of things, IoT). Unter Industrie 4.0 wird der Einzug von Internet-Technologien in die Automatisierungstechnik beschrieben. Die komplette Vernetzung intelligenter Geräte vom Sensor/Aktor bis zur Steuerung ist die Voraussetzung für Modularisierung, Wiederverwendung und Adaptionsfähigkeit von Maschinen- und Anlagenmodulen. Produktionsvorgänge können dann weiter optimiert werden und es kann z.B. in Losgrößen 1 gefertigt werden. Die Einbindung und Nutzung von Cloud-Diensten ermöglicht z.B. vorausschauende Diagnosen. All diese Trends und Technologien tragen ihrerseits zur steigenden Komplexität modularer Anlagen, Maschinen und Sicherheitssysteme sowie zum erhöhten Aufwand bei der Gesamtsicherheitsvalidierung bei.
  • Es versteht sich, dass dieser für die Gesamtsicherheitsvalidierung erforderliche und zunehmend höhere Aufwand nicht den Flexibilitätsanforderungen der Hersteller und Betreiber modularer Sicherheitssysteme, Anlagen und Maschinen entspricht.
  • Diesbezüglich schlägt die EP 2 359 201 ein Verfahren zum Bestimmen einer Sicherheitsstufe in einem Automatisierungsnetzwerk mit einer Mehrzahl von sicherheitsrelevanten Teilnehmern vor. Dieses umfasst die Schritte: selbsttätiges Ermitteln der daten- und ablauftechnischen Verknüpfungen zwischen den Teilnehmer im Automatisierungsnetzwerk durch ein Konfigurationserfassungsmodul; selbsttätiges Ermitteln der teilnehmerspezifischen Sicherheitskenndaten durch ein Kenndatenerfassungsmodul; und Berechnen der Sicherheitsstufe in dem Automatisierungsnetzwerk mithilfe einer Berechnungsvorschrift, die die ermittelten daten- und ablauftechnischen Verknüpfungen der Teilnehmer im Automatisierungsnetzwerk und die ermittelten teilnehmerspezifischen Sicherheitskenndaten verbindet. Das Konfigurationserfassungsmodul und das Kenndatenerfassungsmodul sind dabei Teil eines zentralen Sicherheitsmanagers, der online über ein Netzwerk auf die an einer Sicherheitsfunktion beteiligten Komponenten zugreift.
  • Darüber hinaus schlägt die hiesige Anmelderin in deren früheren Anmeldung DE 10 2015 103 359 ein Verfahren zur automatischen Validierung von Sicherheitsfunktionen an einem modular aufgebauten Sicherheitssystem vor, wobei an das Sicherheitssystem eine auch als Safety-Validator bezeichnete zentrale Überprüfungseinrichtung angeschaltet wird. Das Verfahren umfasst u.a. die Schritte: Übertragen der lokalen, modulspezifischen sicherheitsrelevanten Ist-Kennwerte aus den einzelnen Teilsystem-Modulen an die Überprüfungseinrichtung, automatisches Verarbeiten der ausgelesenen, lokalen, modulspezifischen sicherheitsrelevanten Ist-Kennwerte zu sich beim Zusammenwirken der einzelnen Teilsystem-Module ergebenden, übergreifenden sicherheitsrelevanten Ist-Kennwerten, und zwar durch jene Überprüfungseinrichtung; automatisches Vergleichen der sich ergebenden, übergreifenden sicherheitsrelevanten Ist-Kennwerte mit den im Speicher der Überprüfungseinrichtung hinterlegten Soll-Kennwerten des Systems, und zwar durch die Überprüfungseinrichtung und automatisches Generieren eines Reaktionssignals in Abhängigkeit vom Ergebnis des Vergleiches. Somit überprüft der sogenannte Safety-Validator während der Inbetriebnahme und zur Laufzeit online sich ändernde sicherheitsrelevante Parameter von dezentralen Teilsicherheitsfunktionen, kombiniert diese, überwacht die Einhaltung vorkonfigurierter Grenzen und kann bei deren Überschreitung das System in einen sicheren Zustand überführen.
  • Des Weiteren schlägt die hiesige Anmelderin in deren früheren Anmeldung DE 10 2015 103 740 ein Verfahren zum Verarbeiten und Übertragen von Daten innerhalb eines funktional sicheren elektrischen, elektronischen oder programmierbar elektronischen Systems vor, welches aus wenigstens zwei Sub-Systemen aufgebaut wird, welche jeweils einem bestimmten Sicherheitslevel genügen. Es umfasst die Schritte: Verarbeiten von Daten mittels der sicheren Hardware- und/oder Software-Komponente eines ersten der Sub-Systeme zu funktional sicheren Daten eines ersten Sicherheitslevels und Hinzufügen zu diesen Daten wenigstens ein Kennzeichnungsattribut, welches die Eignung dieser Daten für den Einsatz dieses ersten Sicherheitslevels kennzeichnet; Übertragen dieser Daten einschließlich des hinzugefügten Kennzeichnungsattributs an ein zweites dieser Sub-Systeme; und Prüfen des empfangenen Kennzeichnungsattributs durch das zweite Sub-System mittels dessen sicherer Hardware- und/oder Software-Komponente dahingehend, ob der Sicherheitslevel, den dieses Kennzeichnungsattribut kennzeichnet, gegenüber dem Sicherheitslevel, welchem das zweite Sub-System genügt, gleich oder ungleich ist, und, wenn die Prüfung ungleiche Sicherheitslevel ergibt funktional sicheres Weiterverarbeiten der Daten basierend auf dem geringeren Sicherheitslevel.
  • Sowohl die EP 2 359 201 als auch die DE 10 2015 103 359 sehen eine zentrale Instanz in Form eines Sicherheitsmanagers bzw. einer Überprüfungseinrichtung vor. Dies kann jedoch zu einer Einschränkung der Flexibilität und Handhabbarkeit führen, insbesondere mit Blick auf die Überwachung der Sicherheitskette einer Gesamtsicherheitsfunktion eines modularen Sicherheitssystems während des laufenden Betriebs. Außerdem besteht ein zusätzlicher Hardwareaufwand.
  • Die Aufgabe der vorliegenden Erfindung besteht darin, die Überwachung einer durch ein Sicherheitssystem, insbesondere eine Sicherheitskette, bereitgestellten Sicherheitsfunktion, insbesondere die Überwachung auf Einhaltung vorgegebener Reaktionszeiten, zu vereinfachen und/oder zu verbessern. Zudem soll eine solche vereinfachte Überwachung insbesondere auch bei dynamischen und/oder sich in ihrer Konfiguration ändernden modularen Sicherheitssystemen ermöglicht werden.
  • Diese Aufgabe wird durch die Merkmale der unabhängigen Ansprüche gelöst. Vorteilhafte Ausführungsformen sind Gegenstand der abhängigen Ansprüche, wobei die angegebenen Merkmale und Vorteile im Wesentlichen für alle unabhängigen Ansprüche gelten können.
  • Ein Kerngedanke der Erfindung ist darin zu sehen, dass ein Zeitstempel eingesetzt wird, welcher den Zeitpunkt angibt, zu dem ein Ereignis, welches eine Sicherheitsfunktion auslöst, erfasst wurde, wobei der Zeitstempel entlang der die Sicherheitsfunktion ausführenden Sicherheitskette weitergereicht wird und an einem beliebigen Punkt der Sicherheitskette, insbesondere am Ende der Sicherheitskette im letzten Teilsystem-Modul, welches die Aktorik steuert, zur Überprüfung der Reaktionszeit der Sicherheitsfunktion eingesetzt wird, wobei aus der Differenz des aktuellen Zeitpunkts und des durch den Zeitstempel angegeben Zeitpunkts eine tatsächliche Reaktionszeit ermittelt und mit einem Sollwert verglichen wird.
  • Ein Verfahren zum Überwachen der Reaktionszeit einer durch ein Sicherheitssystem bereitgestellten Sicherheitsfunktion, wobei das Sicherheitssystem wenigstens ein erstes und wenigstens ein zweites Teilsystem-Modul umfasst, weist die folgenden Schritte auf:
    • Erzeugen funktional sicherer Daten in dem ersten Teilsystem-Modul,
    • Erzeugen eines Zeitstempels im ersten Teilsystem-Modul, welcher den funktional sicheren Daten zugeordnet ist,
    • Übertragen des Zeitstempels vom ersten Teilsystem-Modul zum zweiten Teilsystem-Modul,
    • Ermitteln einer Reaktionszeit der Sicherheitsfunktion durch das zweite Teilsystem-Modul in Abhängigkeit des empfangenen Zeitstempels,
    • Vergleichen, im zweiten Teilsystem-Modul, der ermittelten Reaktionszeit mit einem Vergleichswert, und
    • Auslösen einer vorbestimmten Sicherheitsreaktion in Abhängigkeit des Vergleichsergebnisses.
  • Die wenigstens zwei Teilsystem-Module bilden eine Sicherheitskette, wobei das erste Teilsystem-Modul insbesondere den Anfang und das zweite Teilsystem-Modul das Ende der Sicherheitskette bildet.
  • Die Sicherheitskette, d.h. das Sicherheitssystem, kann weitere Teilsystem-Module, auch eine Mehrzahl weiterer Teilsystem-Module, umfassen, wobei diese insbesondere entlang der Sicherheitskette zwischen dem ersten und zweiten Teilsystem-Modul angeordnet sind. Dementsprechend umfasst das Sicherheitssystem vorteilhaft wenigstens ein drittes Teilsystem-Modul, wobei das Übertragen des Zeitstempels vom ersten Teilsystem-Modul zum zweiten Teilsystem-Modul über das wenigstens eine dritte Teilsystem-Modul erfolgt. Somit wird in dieser Ausführungsform des Verfahrens der erzeugte Zeitstempel vom ersten Teilsystem-Modul zu einem dritten Teilsystem-Modul übertragen und von dem dritten Teilsystem-Modul zu dem zweiten Teilsystem-Modul oder zu einem weiteren dritten Teilsystem-Modul weiterübertragen.
  • Der Vergleichswert, mit dem die ermittelte Reaktionszeit im zweiten Teilsystem-Modul verglichen wird, ist vorzugsweise im zweiten Teilsystem-Modul hinterlegt. Denkbar ist auch, dass der Vergleichswert durch das zweite Teilsystem-Modul abrufbar ist, um eine dynamische Anpassung des Vergleichswertes zu ermöglichen.
  • Das Auslösen der vorbestimmten Sicherheitsreaktion in Abhängigkeit des Vergleichsergebnisses erfolgt insbesondere bei negativem Vergleichsergebnis, während bei positivem Vergleichsergebnis die funktional sicheren Daten auf übliche Weise weiterverarbeitet werden, um die Sicherheitsfunktion auszuführen, deren Reaktionszeit überwacht wird. Das Weiterverarbeiten der funktional sicheren Daten kann auch negativem Vergleichsergebnis vorgesehen sein, wobei die vorbestimmte Sicherheitsreaktion zusätzlich ausgeführt wird. Ein negatives Vergleichsergebnis liegt insbesondere dann vor, wenn die ermittelte Reaktionszeit über dem Vergleichswert liegt.
  • Zum Erzeugen des Zeitstempels umfasst das erste Teilsystem-Modul vorzugsweise einen Zeitgeber, insbesondere in Form einer Echtzeituhr. Ferner umfasst das zweite Teilsystem-Modul vorzugsweise ebenfalls einen Zeitgeber, ebenfalls insbesondere ausgebildet als Echtzeituhr, um in Abhängigkeit des empfangenen Zeitstempels die Reaktionszeit der Sicherheitsfunktion zu ermitteln.
  • Besonders vorteilhaft kann vorgesehen sein, dass alle Teilsystem-Module des Sicherheitssystems einen Zeitgeber aufweisen, so dass jedes Teilsystem-Modul des Sicherheitssystems die Reaktionszeit bis zu dem jeweiligen Teilsystem-Modul überwachen kann.
  • Um eine vorgegebene Genauigkeit bei der Ermittlung der Reaktionszeit zu gewährleisten, werden die Zeitgeber im ersten und zweiten Teilsystem-Modul vorteilhaft miteinander synchronisiert. Umfasst das Sicherheitssystem weitere Teilsystem-Module, die einen Zeitgeber aufweisen, so werden vorteilhaft auch diese Zeitgeber in die Synchronisation einbezogen. Mit besonderem Vorteil erfolgt eine Synchronisation der Zeitgeber mit einem Referenz-Zeitgeber, wobei dieser in einem Teilsystem-Modul des Sicherheitssystems oder in einem separaten Referenz-Modul angeordnet sein kann. Die Synchronisation der Zeitgeber untereinander bzw. mit dem Referenz-Zeitgeber kann bevorzugt zyklisch in vorgegebenen Zeitabständen erfolgen, wobei die Zeitabstände vorteilhaft in Abhängigkeit des Gangfehlers der eingesetzten Zeitgeber festgelegt werden. Vorteilhaft kann alternativ oder zusätzlich auch eine Synchronisation vor Inbetriebnahme des jeweiligen Teilsystem-Moduls vorgesehen sein. Durch eine Synchronisation vor Inbetriebnahme des jeweiligen teilsystem-Moduls kann sichergestellt werden, dass die für die Überwachung der Reaktionszeit der Sicherheitsfunktion eingesetzten Zeitgeber bei Ausführen der Sicherheitsfunktion bereits synchronisiert sind. Der Referenz-Zeitgeber kann seinerseits vorteilhaft in vorgegebenen Zeitabständen mit einen Zeitnormal synchronisiert werden, beispielsweise mit Hilfe des Zeitzeichensenders DCF77. Besonders bevorzugt kann der Referenz-Zeitgeber in einer Steuerungseinrichtung eines Automatisierungssystems angeordnet sein, wobei die Steuerungseinrichtung insbesondere ein Teilsystem-Modul der die Sicherheitsfunktion ausführenden Sicherheitskette ist, und beispielsweise als SPS (Speicherprogrammierbare Steuerung) ausgebildet ist. Mit anderen Worten ist die Steuerungseinrichtung vorzugsweise führend bei der Synchronisation der Zeitgeber und gibt die Referenz-Zeit vor.
  • In einem häufigen Anwendungsfall wird die Sicherheitsfunktion durch einen Sensor, wie zum Beispiel ein Not-Aus-Taster, ein Lichtgitter, eine Schutztür oder ähnliches, ausgelöst, wobei der Sensor an ein Eingabe-Modul eines Automatisierungssystems angeschlossen ist. Dementsprechend ist in einer vorteilhaften Ausführungsform des Sicherheitssystems das erste Teilsystem-Modul als ein Eingabe-Modul eines Automatisierungssystems ausgebildet, an welches ein Sensor angeschlossen ist, wobei das Erzeugen funktional sicherer Daten in dem ersten Teilsystem-Modul vorteilhaft ein Erfassen eines Sensorsignals mittels des Sensors und das Verarbeiten des erfassten Sensorsignals zu den funktional sicheren Daten umfasst.
  • Der vom ersten Teilsystem-Modul erzeugte Zeitstempel gibt in dieser Ausführungsform vorteilhaft den Zeitpunkt an, zu dem das Sensorsignal vom Sensor erfasst wurde. Zu diesem Zweck ist vorteilhaft im ersten Teilsystem-Modul ein Sensorparameter hinterlegt, welcher eine Reaktionszeit des an das erste Teilsystem-Modul angeschlossenen Sensors angibt, wobei das erste Teilsystem-Modul den Zeitstempel in Abhängigkeit des Sensorparameters erzeugt.
  • Zusätzlich zum Sensorparameter können im Eingabe-Modul weitere, das Eingabe-Modul betreffende, Parameter hinterlegt sein, wie zum Beispiel eine Filterzeit, die einem Eingang des Eingabe-Moduls zum Anschließen eines Sensors zugeordnet ist. Eine solche Filterzeit gibt typischerweise eine Verzögerungszeit an, welche dazu dient, ein Rauschen am Eingang zu filtern, um unbeabsichtigte Änderungen des Signalzustands am Eingang zu vermeiden. Ein weiterer Parameter könnte zum Beispiel eine Firmware-Zeit sein, welche die Zeit angibt, die das Eingabe-Modul zur Datenverarbeitung mittels seiner Firmware benötigt
  • Ist beispielsweise im Eingabe-Modul als Sensorparameter eine Reaktionszeit von 260 ms hinterlegt und als Filterzeit des entsprechenden Anschlusses ein Wert vom 3 ms hinterlegt, so erzeugt das Eingabe-Modul beispielsweise einen Zeitstempel, der einen Zeitpunkt angibt, welcher der aktuellen, vom Zeitgeber bereitgestellten Zeit minus 263 ms entspricht, so dass der Zeitstempel den Zeitpunkt angibt, zu dem das den Sensor auslösende Ereignis eingetreten ist.
  • Der erzeugte Zeitstempel wird vorteilhaft zusammen mit den erzeugten funktional sicheren Daten zum nächsten Teilsystem-Modul der Sicherheitskette, im einfachsten Fall direkt zum zweiten Teilsystem-Modul übertragen, wobei vorteilhaft beim Übertragen die funktional sicheren Daten und der erzeugte Zeitstempel gemäß einem zugrunde liegenden sicheren Datenübertragungsprotokoll zusammen in einem gemeinsamen protokollspezifischen Datenbereich oder getrennt voneinander in separaten protokollspezifischen Datenbereichen übertragen werden.
  • Hierbei ist es möglich, die Datenübertragung, insbesondere transparent, in bestehende (sichere) Protokolle zu integrieren. Es ist aber auch möglich, neue (sichere) Protokolle vorzusehen, mit deren Hilfe die Datenübertragung implementiert wird.
  • In einem häufigen Anwendungsfall bewirkt die Sicherheits-funktion das Ausführen einer sicherheitsgerichteten Aktion eines Aktors, beispielsweise das Abschalten einer gefahrbringenden Einrichtung, beispielsweise durch Abschalten eines Motors. Dementsprechend ist in einer vorteilhaften Ausführungsform des Sicherheitssystems das zweite Teilsystem-Modul als ein Ausgabe-Modul eines Automatisierungssystems ausgebildet, an welches ein Aktor abgeschlossen ist. Vorteilhaft ist im zweiten Teilsystem-Modul ein Aktorparameter hinterlegt ist, welcher eine Reaktionszeit des wenigstens einen an das zweite Teilsystem-Modul angeschlossenen Aktors angibt, wobei das zweite Teilsystem-Modul die Reaktionszeit der Sicherheitsfunktion in Abhängigkeit des Aktorparameters ermittelt. In der hinterlegten Reaktionszeit des Aktors kann beispielsweise auch eine Nachlaufzeit eines Motors berücksichtigt sein.
  • Denkbar ist auch, dass das erste Teilsystem-Modul als intelligenter Sensor und/oder das zweite Teilsystem-Modul als intelligenter Aktor ausgebildet ist.
  • In einer bevorzugten Ausführungsform des Verfahrens umfasst das Sicherheitssystem wenigstens ein Teilsystem-Modul, welches als Steuereinrichtung eines Automatisierungssystems ausgebildet ist.
  • Bei einer mehrkanaligen Ausgestaltung des Sicherheitssystems können auch mehrere erste und/oder zweite Teilsystem-Module vorgesehen sein, wobei in diesem Fall auch mehrere erste Teilsystem-Module mit dem gleichen, als Steuereinrichtung ausgebildeten dritten Teilsystem-Modul verbunden sein können.
  • In einer solchen Ausgestaltung kann vorgesehen sein, dass die Steuereinrichtung wenigstens zwei Zeitstempel empfängt, welche jeweils individuellen funktional sicheren Daten zugeordnet sind, insbesondere von zwei separaten, für eine redundante Sensorik vorgesehenen Eingabe-Modulen des Sicherheitssystems. Besonders vorteilhaft wählt die Steuereinrichtung bei einer solchen Ausgestaltung einen der Zeitstempel in Abhängigkeit einer vorgegebenen Parametrierung aus und überträgt nur diesen Zeitstempel weiter an ein anderes Teilsystem-Modul des Sicherheitssystems, insbesondere an wenigstens ein in der Sicherheitskette nachfolgendes Teilsystem-Modul.
  • Die Parametrierung und damit die Auswahl des weiter zu übertragenden Zeitstempels hängen insbesondere von der logischen Verknüpfung der von der Steuerungseinrichtung empfangenen funktional sicheren Daten ab, welche den Zeitstempeln zugeordnet sind. Im einfachsten Fall wird jeweils der Zeitstempel weiterübertragen, welcher dem frühesten Zeitpunkt entspricht und somit zur Ermittlung der längsten, d.h. schlechtesten Reaktionszeit der Sicherheitsfunktion führt.
  • Insbesondere sind den wenigstens zwei Zeitstempeln funktional sichere Eingangsdaten zugeordnet, wobei die Steuereinrichtung diese Eingangsdaten zu funktional sicheren Ausgangsdaten verarbeitet und zusammen mit dem ausgewählten Zeitstempel weiterüberträgt.
  • Es ist auch denkbar, dass an ein Eingabe-Modul, welches insbesondere das erste Teilsystem-Modul des Sicherheitssystems bildet, wenigstens zwei Sensoren angeschlossen sind, wobei für jeden der angeschlossenen Sensoren ein Zeitstempel erzeugt und von diesen Zeitstempeln in Abhängigkeit einer vorgegebenen Parametrierung des Eingabe-Moduls ein Zeitstempel ausgewählt und übertragen wird.
  • Ein System zur Durchführung eines Verfahrens wie oben beschriebene, welches zum Ausführen einer Sicherheitsfunktion ausgebildet ist, umfasst wenigstens ein erstes Teilsystem-Modul, welches zum Erzeugen funktional sicherer Daten und zum Erzeugen eines den funktional sicheren Daten zugeordneten Zeitstempels ausgebildet ist, und wenigstens ein zweites Teilsystem-Modul, welches über einen Datenübertragungskanal mit dem ersten Teilsystem-Modul verbunden ist, und welches dazu ausgebildet ist, einen Zeitstempel von dem ersten Teilsystem-Modul zu empfangen, in Abhängigkeit des empfangenen Zeitstempels eine Reaktionszeit der Sicherheitsfunktion zu ermitteln, die ermittelte Reaktionszeit mit einem Vergleichswert zu vergleichen, und in Abhängigkeit des Vergleichsergebnisses eine vorbestimmte Sicherheitsreaktion auszulösen.
  • Die oben genannte technische Aufgabe wird ferner gelöst durch eine Vorrichtung zum Einsatz als Teilsystem-Modul in einem Sicherheitssystem, welches zum Ausführen einer Sicherheitsfunktion ausgebildet ist, wobei die Vorrichtung dazu ausgebildet ist, funktional sichere Daten und einen den funktional sicheren Daten zugeordneten Zeitstempel zu erzeugen, und die funktional sicheren Daten und den zugeordneten Zeitstempel über eine Kommunikationsverbindung zu übertragen.
  • Im Rahmen der Erfindung liegt auch ein Verfahren zum Konfigurieren einer solchen Vorrichtung, welches vorsieht, einen Sensorparameter zu der Vorrichtung zu übertragen, welcher eine Reaktionszeit eines an die Vorrichtung angeschlossenen Sensors angibt, und den Sensorparameter in der Vorrichtung zu speichern, wobei die Vorrichtung dazu ausgebildet ist, den Zeitstempel in Abhängigkeit des gespeicherten Sensorparameters zu erzeugen.
  • Die oben genannte technische Aufgabe wird ferner gelöst durch eine Vorrichtung zum Einsatz als Teilsystem-Modul in einem Sicherheitssystem, welches zum Ausführen einer Sicherheitsfunktion ausgebildet ist, wobei die Vorrichtung dazu ausgebildet ist, einen Zeitstempel über eine Kommunikationsverbindung zu empfangen, in Abhängigkeit des empfangenen Zeitstempels eine Reaktionszeit der Sicherheitsfunktion zu ermitteln, die ermittelte Reaktionszeit mit einem Vergleichswert zu vergleichen, und in Abhängigkeit des Vergleichsergebnisses eine vorbestimmte Sicherheitsreaktion auszulösen.
  • Im Rahmen der Erfindung liegt auch ein Verfahren zum Konfigurieren einer solchen Vorrichtung, welches vorsieht, einen Aktorparameter zu der Vorrichtung zu übertragen, welcher eine Reaktionszeit eines an die Vorrichtung angeschlossenen Aktors angibt, und den Aktorparameter in der Vorrichtung zu speichern, wobei die Vorrichtung dazu ausgebildet ist, die Reaktionszeit der Sicherheitsfunktion in Abhängigkeit des gespeicherten Sensorparameters zu ermitteln.
  • Es sei noch angemerkt, dass die Teilsystem-Module des Sicherheitssystems zur Übertragung der Daten und Zeitstempel an wenigstens einen Datenübertragungskanal angeschlossen sind, sowie dass die Teilsystem-Module des Sicherheitssystems insbesondere jeweils eine Teilsicherheitsfunktion bereitstellen und für eine funktional sichere Datenverarbeitung und/oder -übertragung ausgebildet sind.
  • Es sei ferner angemerkt, dass der Begriff des Datenübertragungskanals nicht zwingend das Vorhandensein eines Bussystems bedingt. Vielmehr liegen im Rahmen der Erfindung auch Teilsystem-Module, z.B. modulare Maschinen, wobei die Module zur Datenübertragung nicht über Bussysteme miteinander vernetzt sind. Eine mögliche Alternative im Rahmen des Begriffs "Datenübertragungskanal" sind beispielsweise Teilsystem-Module, bei denen sich der "Datenübertragungskanal", an welchen diese angeschaltet sind, aus jeweiligen internen, miteinander verschalteten Backplanebussen zusammensetzt. Die Teilsystem-Module können somit z.B. auch modulare Geräte mit internem Backplanebus sein. Auch ist denkbar, dass der Datenübertragungskanal über mehrere, insbesondere auch hierarchisch strukturierte Kommunikationsnetzwerke verläuft, die beispielsweise über ein Koppelmodul oder Gateway miteinander verbunden sind, wobei das Koppelmodul bzw. das Gateway in diesem Fall insbesondere ein Teilsystem-Modul des Sicherheitssystems bildet.
  • Die vorliegende Erfindung bietet viele Vorteile. Vor allem ermöglicht sie auf einfache Weise die permanente Überwachung der Reaktionszeit einer von einer Sicherheitskette in einem modularen Sicherheitssystem ausgeführten Sicherheitsfunktion während des laufenden Betriebs.
  • Der Anwender hat die Aufgabe, die Einhaltung der erforderlichen Reaktionszeiten nachzuweisen. Diese Nachweise sind heute stets mit Aufwand verbunden und werden daher oft entweder gar nicht oder unvollständig erstellt oder im Falle von Änderungen nicht nachgezogen.
  • Bei aus dem Stand der Technik bekannten Lösungen wird in der Regel als einzuhaltende Reaktionszeit einer Sicherheitsfunktion vom Anwender ein Wert vorgegeben, der sich aus der Summe von Watchdog-Zeiten ergibt, die für die einzelnen Teilsystem-Module des die Sicherheitsfunktion ausführenden Sicherheitssystems definiert werden.
  • Wird jedoch ausschließlich mit Watchdogzeiten gerechnet, ist das Ergebnis eher konservativ und Ziele werden nicht erreicht oder verhältnismäßig viel Abstand ist zu wählen.
  • Wird mit typischen Zeiten der Teilsystem-Module gerechnet, ist das Ergebnis nicht auf Dauer garantiert und auch nicht ausreichend gegen Veränderung/Manipulation geschützt. Mit Nachlaufmessungen das typische Zeitverhalten eines fehlerfreien Systems erfasst werden, dieses hat jedoch keine Aussagekraft bezüglich des Systemverhaltens bei zum Beispiel einer Verschlechterung der Signalübertragung.
  • Die Vorgabe von Reaktionszeiten, die auch bei einer Verschlechterung des Systemverhaltens in der Regel sicher eingehalten werden können, aber deutlich unter einer Reaktionszeit liegen, die sich aus der Summe von Watchdogzeiten ergibt, ist problematisch, da der Nachweis, dass diese Reaktionszeiten eingehalten werden, mit aus dem Stand der Technik bekannten Verfahren nicht möglich ist.
  • Ein besonderer Vorteil der Erfindung besteht darin, genau dies zu ermöglichen. Durch Weitergabe der Signalwerte mit Zeitstempel kann die Überwachung der Einhaltung einer sicheren Reaktionszeit gewährleistet werden, die deutlich besser ist, als beim heutigen Aufsummieren von Watchdogzeiten und deutlich verlässlicher, als das Rechnen mit typischen Werten. Dadurch ermöglicht die Erfindung schnellere Reaktionszeiten, kürzere Sicherheitsabstände und mehr Verfügbarkeit.
  • Die Weitergabe der Erfassungszeit eines Signals ist somit auch eine wichtige Grundlage beispielsweise für eine Anlagenübergreifende sichere Kommunikation und dem Zusammenstellen modularer Anlagen im Industrie 4.0-Umfeld.
  • Diese und weitere Merkmale und Vorteile der vorliegenden Erfindung ergeben sich auch aus den Ausführungsbeispielen, welche nachfolgend unter Bezugnahme auf die beiliegenden Zeichnungen näher erläutert werden. Es zeigt dabei
    • Fig. 1
    eine schematische Darstellung eines ersten Ausführungsbeispiels eines Automatisierungssystems, in welchem ein erfindungsgemäßes Verfahren vorteilhaft ausgeführt werden kann,
    Fig. 2
    eine schematische Darstellung eines zweiten Ausführungsbeispiels eines Automatisierungssystems, in welchem ein erfindungsgemäßes Verfahren vorteilhaft ausgeführt werden kann,
    Fig. 3
    eine schematische Darstellung eines ersten bevorzugten Ausführungsbeispiels eines Sicherheitssystems, und
    Fig. 4
    eine schematische Darstellung eines zweiten bevorzugten Ausführungsbeispiels eines Sicherheitssystems.
  • Die Figur 1 zeigt eine schematische Darstellung eines Automatisierungssystems, wobei im dargestellten Ausführungsbeispiel mehrere Eingabe- und Ausgabe-Module über eine Kommunikations-Netzwerk 400 mit einer zentralen Steuereinrichtung 300 verbunden sind. Beispielhaft ist an das Eingabe-Modul 110 ein Sensor 510 angeschlossen, und an das Eingabe-Modul 120 zwei Sensoren 521 und 522, wobei die zwei Sensoren insbesondere als redundante Sensoren eingesetzt werden. Ferner ist ein intelligenter Sensor 130 vorgesehen, welcher direkt mit dem Kommunikationsnetzwerk verbunden ist und mit der Steuerung 300 kommunizieren kann.
  • Ferner ist im dargestellten Ausführungsbeispiel ein Ausgabe-Modul 210 vorgesehen, welches über das Kommunikations-Netzwerk 400 mit der Steuereinrichtung 300 verbunden ist, sowie ein intelligenter Aktor, welcher direkt mit dem Kommunikationsnetzwerk verbunden ist und mit der Steuerung 300 kommunizieren kann.
  • In dem in Fig. 1 dargestellten System kann das erfindungsgemäße Verfahren ausgeführt werden, wobei je nachdem, für welche Sicherheitsfunktion die Reaktionszeit überwacht werden soll, unterschiedliche der dargestellten Module Teilsystem-Module des Sicherheitssystems bilden können, welches die Sicherheitsfunktion ausführt.
  • Beispielsweise kann das Sicherheitssystem das Eingabe-Modul 110 als erstes Teilsystem-Modul und das Ausgabe-Modul 210 als zweites Teilsystem-Modul umfassen, wobei das Eingabe-Modul 110 Sensorsignale des angeschlossenen Sensors 510 zu funktional sicheren Daten verarbeitet. Zugeordnet zu den funktional sicheren Daten erzeugt das Eingabe-Modul 110 einen Zeitstempel, wobei das Eingabe-Modul 110 zu diesem Zweck eine Echtzeituhr 701 umfasst.
  • Das Eingabe-Modul 110 überträgt die funktional sicheren Daten zusammen mit dem erzeugten Zeitstempel zu der Steuerung 300, welche in diesem Ausführungsbeispiel ein drittes Teilsystem-Modul des Sicherheitssystems bildet. Die Steuerung verarbeitet die vom Eingabe-Modul 110 empfangenen Eingangsdaten und erzeugt mit Hilfe eines in der Steuerung 300 hinterlegten Anwenderprogramms Ausgangsdaten, welche die Steuerung an das Ausgabe-Modul 210 überträgt. Zusammen mit den Ausgangsdaten wird von der Steuerung 300 der vom Eingabe-modul 110 erzeugte Zeitstempel an das Ausgabe-Modul 210 ungeändert weiterübertragen.
  • Das Ausgabe-Modul 210 ermittelt eine Reaktionszeit der Sicherheitsfunktion in Abhängigkeit des empfangenen Zeitstempels, vergleicht die ermittelte Reaktionszeit mit einem Vergleichswert, und löst in Abhängigkeit des Vergleichsergebnisses eine vorbestimmte Sicherheitsreaktion aus. Zum Ermitteln der Reaktionszeit weist das Ausgabe-Modul 210 eine Echtzeituhr 702 auf.
  • Im beschriebenen Beispiel wird die Sicherheitsfunktion durch den an das Eingabe-Modul 110 angeschlossenen Sensor 510, welcher beispielsweise als Not-Aus-Taster, Lichtgitter oder Schutztür ausgebildet sein kann, ausgelöst. Der vom Eingabe-Modul 110 erzeugte Zeitstempel gibt in dieser Ausführungsform vorteilhaft den Zeitpunkt an, zu dem das Sensorsignal vom Sensor 510 erfasst wurde. Zu diesem Zweck ist vorteilhaft im Eingabe-Modul 110 ein Sensorparameter hinterlegt, welcher eine Reaktionszeit des Sensors 510 angibt, wobei das Eingabe-Modul 110 den Zeitstempel in Abhängigkeit des Sensorparameters erzeugt.
  • Zusätzlich zum Sensorparameter können im Eingabe-Modul 110 weitere, das Eingabe-Modul 110 betreffende, Parameter hinterlegt sein, wie zum Beispiel eine Filterzeit, die dem Eingang des Eingabe-Moduls 110 zum Anschließen des Sensors 510 zugeordnet ist. Eine solche Filterzeit gibt typischerweise eine Verzögerungszeit an, welche dazu dient, ein Rauschen am Eingang zu filtern, um unbeabsichtigte Änderungen des Signalzustands am Eingang zu vermeiden.
  • Ist beispielsweise im Eingabe-Modul 110 als Sensorparameter eine Reaktionszeit von 260 ms hinterlegt und als Filterzeit des entsprechenden Anschlusses ein Wert vom 3 ms hinterlegt, so erzeugt das Eingabe-Modul 110 beispielsweise einen Zeitstempel, der einen Zeitpunkt angibt, welcher der aktuellen, vom Zeitgeber 701 bereitgestellten Zeit minus 263 ms entspricht, so dass der Zeitstempel den Zeitpunkt angibt, zu dem das den Sensor 510 auslösende Ereignis eingetreten ist.
  • Im dargestellten Beispiel bewirkt die Sicherheitsfunktion das Ausführen einer sicherheitsgerichteten Aktion eines Aktors 610, beispielsweise das Abschalten einer gefahrbringenden Einrichtung, beispielsweise eines Motors. Vorteilhaft ist im Ausgabe-Modul 210 ein Aktorparameter hinterlegt, welcher eine Reaktionszeit des wenigstens einen an das Ausgabe-Modul 210 angeschlossenen Aktors 610 angibt, wobei das Ausgabe-Modul 210 die Reaktionszeit der Sicherheitsfunktion in Abhängigkeit des Aktorparameters ermittelt.
  • In dem in Fig. 1 dargestellten Automatisierungssystem sind eine Vielzahl weiterer Kombination von Modulen denkbar, welche ein Sicherheitssystem bilden können. Beispielsweise könnten der intelligente Sensor 130 und der intelligente Aktor 220 ein Sicherheitssystem bilden, wobei in diesem Fall der intelligente Sensor 130 über eine entsprechende Verarbeitungslogik zum Erzeugen von Ausgangsdaten verfügt.
  • Wesentlich ist, dass jeweils das erste Teilsystem-Modul dazu ausgebildet ist, einen Zeitstempel zu erzeugen und das zweite Teilsystem-Modul dazu ausgebildet ist, in Abhängigkeit des Zeitstempels eine Reaktionszeit zu ermitteln, wobei die beiden Module zu diesem Zweck insbesondere jeweils eine Echtzeituhr aufweisen.
  • Auch die Steuerung 300 kann als zweites Teilsystem-Modul vorgesehen sein und dementsprechend die Reaktionszeit ermitteln, wobei die Steuerung 300 zu diesem Zweck ebenfalls eine Echtzeituhr 703 aufweist.
  • Es sind auch Sicherheitssysteme denkbar, welche mehrere Eingabe- und/oder Ausgabe-Module umfassen.
  • Die Echtzeituhren 701, 702 und 703 werden vorzugsweise miteinander synchronisiert, wobei vorteilhaft eine Synchronisation der Echtzeituhren 701 und 702 jeweils mit der Echtzeituhr 703 der Steuerung 300 erfolgt, welche eine Referenz-Zeit vorgibt. Die Synchronisation erfolgt vorzugsweise zumindest bei Inbetriebnahme des jeweiligen Moduls, sowie vorteilhaft in vorgegeben Zeitabständen.
  • Das Automatisierungssystem kann auch, wie in Fig. 2 dargestellt, eine hierarchische Kommunikationsstruktur aufweisen, wobei in dem in Fig. 2 dargestellten Beispiel ein erstes Kommunikations-Netzwerk 400 und ein zweites Kommunikations-Netzwerk 410 vorgesehen ist, beispielsweise ausgebildet als Bussystem 400 und als Ethernet-basiertes Netzwerk 410. Im dargestellten Beispiel sind die Netzwerke 400 und 410 über ein Gateway 310 miteinander verbunden, wobei auch das Gateway 310 ein teilsystem-Modul des Sicherheitssystems bilden kann.
  • Fig. 3 zeigt schematisch ein beispielhaftes Sicherheitssystem 10, welches zweikanalig aufgebaut ist und zwei Sensoren 501 und 502, zwei Eingabe-Module 101 und 102, zwei Logik-Module 301 und 302, sowie zwei Ausgabe-Module 201 und 202, mit daran jeweils angeschlossenen Aktoren 601 und 602 umfasst.
  • In dem in Fig. 3 dargestellten Beispiel eines Sicherheitssystems 10 verläuft beispielsweise ein erster Datenübertragungskanal vom Sensor 501, über das Eingabe-Modul 101, das Logik-Modul 301 und das Ausgabe-Modul 201 zum Aktor 601, sowie ein zweiter Datenübertragungskanal vom Sensor 502, über das Eingabe-Modul 102, das Logik-Modul 302 und das Ausgabe-Modul 202 zum Aktor 602. Ferner sind im dargestellten Beispiel die Eingabe-Module 101 und 102, die Logik-Module 301 und 302, sowie die Ausgabe-Module 201 und 202 jeweils dazu ausgebildet, miteinander zu kommunizieren. Dementsprechend können auch andere Datenübertragungskanäle als die oben genannten definiert werden.
  • Die in Fig. 3 dargestellten Eingabe-Module 101 und 102 können beispielsweise in dem in Fig. 1 und Fig. 2 dargestellten Eingabe-Modul 120, sowie die Logik-Module 301 und 302 in der Steuerung 300 angeordnet sein.
  • Fig. 4 zeigt ein weiteres Ausführungsbeispiel eines Sicherheitssystems 20, welches drei Maschinen 103, 303 und 203 umfasst. Die Sicherheitsfunktion im dargestellten Beispiel besteht darin, bei Ausfall der Maschine 103 automatisch auch die Maschinen 303 und 203 abzuschalten. Zur Überwachung der Reaktionszeit dieser Sicherheitsfunktion weist die Maschine 103 eine Echtzeituhr auf und ist dazu ausgebildet, bei Auftreten eines Ausfalls einen Zeitstempel zu erzeugen und diesen zusammen mit einem Abschaltsignal an die Maschine 303 zu übertragen. Die Maschine 303 schaltet sich bei Empfang des Abschaltsignals ab und sendet ein Abschaltsignal zu der Maschine 203, zusammen mit dem von der Maschine 103 empfangenen Zeitstempel. Die Maschine 203 schaltet sich bei Empfang des Abschaltsignals ab und ermittelt in Abhängigkeit des empfangenen Zeitstempels und mit Hilfe einer Echtzeituhr 705 die Reaktionszeit der Sicherheitsfunktion, vergleicht diese mit einem Sollwert und führt eine Sicherheitsreaktion aus, sofern die Reaktionszeit über dem Sollwert liegt.
  • Es sei angemerkt, dass jedes der beschriebenen Teilsystem-Module sowohl über eine Datenübertragungs- als auch über eine Datenempfangskomponente verfügen kann, so dass eine bidirektionale Datenübertragung möglich ist.
  • Durch die Erfindung wird vorteilhaft ermöglicht, dass sichere Eingabebaugruppen, Steuerungen und Ausgabebaugruppen zur Laufzeit nicht nur Variablenwerte, sondern auch Zeitstempel bearbeiten, um so zu entscheiden, ob die sicheren Ausgänge auch unter Berücksichtigung dieser erweiterten Sicherheitsinformationen angesteuert werden dürfen. Das ermöglicht sichere Berechnungen mit realistischen Werten, die sich im Betrieb auch dynamisch verändern können.
  • Die Programmierung und/oder Buskonfiguration schließt vorteilhaft auch die angeschlossenen sicheren Sensoren und Aktoren mit ein. Sensoren und Aktoren werden mit im Gerätekatalog der sicheren Programmieroberfläche verwaltet, um Parameter möglichst nur einmalig eingeben zu müssen bzw. einen Import zu ermöglichen. Durch die Sensor-/Aktor-Projektierung werden sichere E/A-Baugruppen auch implizit kompatibel zum Sensor/Aktor parametriert, so dass eine Geräteparametrierung durch den Anwender entfällt. Beim Einfügen von Sensoren und/oder Aktoren in das sichere Anwenderprogramm werden implizit auch die sicherheitstechnischen Kennwerte des Bauteils, insbesondere ein zugeordnete Reaktionszeit) aus der Bauteilebibliothek bzw. dem Gerätekatalog in das sichere Anwenderprogramm übernommen.
  • Der Anwender gibt seine Vorgaben, d.h. die Spezifikation der Sicherheitsfunktionen, als Ergebnis der Risikobeurteilung in die sichere Programmieroberfläche ein und diese verifiziert selbsttätig die Ergebnisse.
  • Hierzu verarbeitet das Gesamtsystem die Werte rechnerisch und liefert dem Anwender ein Ergebnis je Sicherheitsfunktion sowie ein Gesamtergebnis über alle Sicherheitsfunktionen (OK / nicht OK).
  • Vorteilhaft werden im Anlauf sowie im laufenden Betrieb Echtzeituhren zwischen sicherer Steuerung und sicheren Modulen synchronisiert, da diese benötigt werden, um das Alter einer Information/Nachricht und damit die Reaktionszeit einer Sicherheitsfunktion zu ermitteln.
  • Die Eingabebaugruppe erhält Informationen über die angeschlossenen Sensoren, insbesondere deren Reaktionszeit, ermittelt den Zeitstempel der Signalerfassung intern anhand seiner Parametrierung und Geräteeigenschaften und übergibt je Kanal beispielsweise die folgenden Werte an die nachgelagerte Einheit:
    1. 1. Signalwert (FALSE / TRUE /Analogwert)
    2. 2. Signalstatus (good/bad/ggf. Fehlercode)
    3. 3. Zeitstempel (= aktuelle Zeit - Filterzeit des Moduls - Reaktionszeit des Sensors)
  • Die nachgelagerte Einheit kann je nach Ausgestaltung des Sicherheitssystems eine sichere Steuerung oder ein anderes der oben beschriebenen Module oder gegebenenfalls sogar ein in einer Cloud angeordnetes Modul sein.
  • Die sichere Steuerung, als Beispiel für eine nachgelagerte Einheit, ist somit in der Lage zu beurteilen, ob die Information aktuell genug ist und sicher genug ist.
  • Ein Code-Analyzer ermittelt die Signalflüsse in der sicheren Anwendersoftware und ermittelt wiederum darauf basierend die Ausgangssignale zur Weitergabe an die benachbarte Logikeinheit oder Ausgabebaugruppe.
  • Der Code-Analyzer stellt die Ergebnisse dem Anwender zur Verfügung. Bei Bedarf kann der Anwender hier das ermittelte Ergebnis nachbearbeiten.
  • Der Nutzen der Erfindung besteht insbesondere darin, dass durch Weitergabe der Signalwerte mit Zeitstempel die sichere Reaktionszeit deutlich besser ist, als beim heutigen Aufsummieren von Watchdogzeiten und deutlich verlässlicher, als das Rechnen mit typischen Werten.

Claims (12)

  1. Verfahren zum Überwachen der Reaktionszeit einer durch ein Sicherheitssystem bereitgestellten Sicherheitsfunktion, wobei das Sicherheitssystem wenigstens ein erstes und ein zweites Teilsystem-Modul umfasst, mit den Schritten:
    - Erzeugen funktional sicherer Daten in dem ersten Teilsystem-Modul,
    - Erzeugen eines Zeitstempels im ersten Teilsystem-Modul, welcher den funktional sicheren Daten zugeordnet ist,
    - Übertragen des Zeitstempels vom ersten Teilsystem-Modul zum zweiten Teilsystem-Modul,
    - Ermitteln einer Reaktionszeit der Sicherheitsfunktion durch das zweite Teilsystem-Modul in Abhängigkeit des empfangenen Zeitstempels,
    - Vergleichen, im zweiten Teilsystem-Modul, der ermittelten Reaktionszeit mit einem Vergleichswert, und
    - Auslösen einer vorbestimmten Sicherheitsreaktion in Abhängigkeit des Vergleichsergebnisses.
  2. Verfahren nach Anspruch 1, wobei das Sicherheitssystem wenigstens ein drittes Teilsystem-Modul umfasst, und wobei das Übertragen des Zeitstempels vom ersten Teilsystem-Modul zum zweiten Teilsystem-Modul über das wenigstens eine dritte Teilsystem-Modul erfolgt.
  3. Verfahren nach einem der vorstehenden Ansprüche, wobei wenigstens das erste und zweite Teilsystem-Modul jeweils einen Zeitgeber aufweisen, und wobei eine Synchronisation der Zeitgeber erfolgt, insbesondere zyklisch in vorgegebenen Zeitabständen und/oder vor Inbetriebnahme des jeweiligen Teilsystem-Moduls.
  4. Verfahren nach einem der vorstehenden Ansprüche, wobei das erste Teilsystem-Modul als ein Eingabe-Modul eines Automatisierungssystems ausgebildet ist, an welches ein Sensor angeschlossen ist, und wobei das Erzeugen funktional sicherer Daten in dem ersten Teilsystem-Modul ein Erfassen eines Sensorsignals mittels des Sensors und das Verarbeiten des erfassten Sensorsignals zu den funktional sicheren Daten umfasst, und wobei der Zeitstempel den Zeitpunkt angibt, zu dem das Sensorsignal erfasst wurde.
  5. Verfahren nach Anspruch 4, wobei im ersten Teilsystem-Modul ein Sensorparameter hinterlegt ist, welcher eine Reaktionszeit des an das erste Teilsystem-Modul angeschlossenen Sensors angibt, und wobei das erste Teilsystem-Modul den Zeitstempel in Abhängigkeit des Sensorparameters erzeugt.
  6. Verfahren nach einem der vorstehenden Ansprüche, wobei das zweite Teilsystem-Modul als ein Ausgabe-Modul eines Automatisierungssystems ausgebildet ist, an welches ein Aktor abgeschlossen ist, und wobei im zweiten Teilsystem-Modul ein Aktorparameter hinterlegt ist, welcher eine Reaktionszeit des wenigstens einen an das zweite Teilsystem-Modul angeschlossenen Aktors angibt, und wobei das zweite Teilsystem-Modul die Reaktionszeit der Sicherheitsfunktion in Abhängigkeit des Aktorparameters ermittelt.
  7. Verfahren nach einem der vorstehenden Ansprüche, wobei ein Teilsystem-Modul des Sicherheitssystems als Steuereinrichtung eines Automatisierungssystems ausgebildet ist, und wobei die Steuereinrichtung wenigstens zwei Zeitstempel empfängt, welche jeweils individuellen funktional sicheren Daten zugeordnet sind, und wobei die Steuereinrichtung in Abhängigkeit einer vorgegebenen Parametrierung einen der Zeitstempel auswählt und diesen an ein anderes Teilsystem-Modul des Sicherheitssystems weiterüberträgt.
  8. System zur Durchführung eines Verfahrens nach einem der vorstehenden Ansprüche, ausgebildet zum Ausführen einer Sicherheitsfunktion, umfassend
    - ein erstes Teilsystem-Modul, welches zum Erzeugen funktional sicherer Daten und zum Erzeugen eines den funktional sicheren Daten zugeordneten Zeitstempels ausgebildet ist, und
    - ein zweites Teilsystem-Modul, welches über einen Datenübertragungskanal mit dem ersten Teilsystem-Modul verbunden ist, und welches dazu ausgebildet ist, einen Zeitstempel von dem ersten Teilsystem-Modul zu empfangen, in Abhängigkeit des empfangenen Zeitstempels eine Reaktionszeit der Sicherheitsfunktion zu ermitteln, die ermittelte Reaktionszeit mit einem Vergleichswert zu vergleichen, und in Abhängigkeit des Vergleichsergebnisses eine vorbestimmte Sicherheitsreaktion auszulösen.
  9. Vorrichtung zum Einsatz als Teilsystem-Modul in einem Sicherheitssystem, welches zum Ausführen einer Sicherheitsfunktion ausgebildet ist, wobei die Vorrichtung dazu ausgebildet ist, funktional sichere Daten und einen den funktional sicheren Daten zugeordneten Zeitstempel zu erzeugen, und die funktional sicheren Daten und den zugeordneten Zeitstempel über eine Kommunikationsverbindung zu übertragen.
  10. Vorrichtung zum Einsatz als Teilsystem-Modul in einem Sicherheitssystem, welches zum Ausführen einer Sicherheitsfunktion ausgebildet ist, wobei die Vorrichtung dazu ausgebildet ist, einen Zeitstempel über eine Kommunikationsverbindung zu empfangen, in Abhängigkeit des empfangenen Zeitstempels eine Reaktionszeit der Sicherheitsfunktion zu ermitteln, die ermittelte Reaktionszeit mit einem Vergleichswert zu vergleichen, und in Abhängigkeit des Vergleichsergebnisses eine vorbestimmte Sicherheitsreaktion auszulösen
  11. Verfahren zum Konfigurieren einer Vorrichtung nach Anspruch 9, umfassend die Schritte:
    - Übertragen eines Sensorparameters zu der Vorrichtung, welcher eine Reaktionszeit eines an die Vorrichtung angeschlossenen Sensors angibt, und
    - Speichern des Sensorparameters in der Vorrichtung, wobei die Vorrichtung dazu ausgebildet ist, den Zeitstempel in Abhängigkeit des gespeicherten Sensorparameters zu erzeugen.
  12. Verfahren zum Konfigurieren einer Vorrichtung nach Anspruch 10, umfassend die Schritte:
    - Übertragen eines Aktorparameters zu der Vorrichtung, welcher eine Reaktionszeit eines an die Vorrichtung angeschlossenen Aktors angibt, und
    - Speichern des Aktorparameters in der Vorrichtung, wobei die Vorrichtung dazu ausgebildet ist, die Reaktionszeit der Sicherheitsfunktion in Abhängigkeit des gespeicherten Sensorparameters zu ermitteln.
EP18198915.3A 2017-10-13 2018-10-05 Verfahren und vorrichtungen zum überwachen der reaktionszeit einer durch ein sicherheitssystem bereitgestellten sicherheitsfunktion Active EP3470937B1 (de)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
DE102017123911.1A DE102017123911A1 (de) 2017-10-13 2017-10-13 Verfahren und Vorrichtung zum Überwachen der Reaktionszeit einer durch ein Sicherheitssystem bereitgestellten Sicherheitsfunktion

Publications (2)

Publication Number Publication Date
EP3470937A1 true EP3470937A1 (de) 2019-04-17
EP3470937B1 EP3470937B1 (de) 2023-08-23

Family

ID=63965059

Family Applications (1)

Application Number Title Priority Date Filing Date
EP18198915.3A Active EP3470937B1 (de) 2017-10-13 2018-10-05 Verfahren und vorrichtungen zum überwachen der reaktionszeit einer durch ein sicherheitssystem bereitgestellten sicherheitsfunktion

Country Status (2)

Country Link
EP (1) EP3470937B1 (de)
DE (1) DE102017123911A1 (de)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113784881A (zh) * 2019-06-17 2021-12-10 三菱重工业株式会社 用于基础设施和/或交通工具的模块化监视系统
CN114675588A (zh) * 2020-12-10 2022-06-28 施耐德电器工业公司 用于执行面向事件的控制程序的执行环境

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102022106058A1 (de) 2022-03-16 2023-09-21 WAGO Verwaltungsgesellschaft mit beschränkter Haftung Bestimmung einer reaktionszeit eines eingangs oder eines ausgangs eines eingabe-/ausgabe-moduls

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE602004005645T2 (de) * 2003-09-30 2007-12-13 Rockwell Automation Technologies, Inc., Mayfield Heights Sicherheitssteuerung mit Überwachung der Sicherheitsansprechzeit
DE102014114883A1 (de) * 2014-10-14 2016-04-14 Beckhoff Automation Gmbh Verfahren und System zum Überwachen eines ersten Teilnehmers eines Kommunikationsnetzwerks
WO2017137326A1 (de) * 2016-02-10 2017-08-17 Phoenix Contact Gmbh & Co. Kg Verfahren und vorrichtung zum überwachen einer datenverarbeitung und -übertragung in einer sicherheitskette eines sicherheitssystems
EP3211501A1 (de) * 2016-02-23 2017-08-30 ABB Schweiz AG Datenerfassungsvorrichtung und prozesssteuerungssystem mit verbesserungen in zusammenhang mit auslöseursachenforschung

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102008044018B4 (de) 2008-11-24 2010-08-19 Beckhoff Automation Gmbh Verfahren zum Bestimmen einer Sicherheitsstufe und Sicherheitsmanager
DE102015103359B4 (de) 2015-03-06 2019-10-17 Reo Inductive Components Ag Modulare Vergussform und deren Verwendung
DE102015103740A1 (de) 2015-03-13 2016-09-15 Phoenix Contact Gmbh & Co. Kg Verfahren und Vorrichtung zum Verarbeiten und Übertragen von Daten innerhalb eines funktional sicheren elektrischen, elektronischen oder programmierbar elektronischen Systems

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE602004005645T2 (de) * 2003-09-30 2007-12-13 Rockwell Automation Technologies, Inc., Mayfield Heights Sicherheitssteuerung mit Überwachung der Sicherheitsansprechzeit
DE102014114883A1 (de) * 2014-10-14 2016-04-14 Beckhoff Automation Gmbh Verfahren und System zum Überwachen eines ersten Teilnehmers eines Kommunikationsnetzwerks
WO2017137326A1 (de) * 2016-02-10 2017-08-17 Phoenix Contact Gmbh & Co. Kg Verfahren und vorrichtung zum überwachen einer datenverarbeitung und -übertragung in einer sicherheitskette eines sicherheitssystems
EP3211501A1 (de) * 2016-02-23 2017-08-30 ABB Schweiz AG Datenerfassungsvorrichtung und prozesssteuerungssystem mit verbesserungen in zusammenhang mit auslöseursachenforschung

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113784881A (zh) * 2019-06-17 2021-12-10 三菱重工业株式会社 用于基础设施和/或交通工具的模块化监视系统
CN113784881B (zh) * 2019-06-17 2024-02-09 三菱重工业株式会社 用于基础设施和/或交通工具的模块化监视系统
US12211284B2 (en) 2019-06-17 2025-01-28 Mitsubishi Heavy Industries, Ltd. Modular surveillance system for an infrastructure and/or a vehicle
CN114675588A (zh) * 2020-12-10 2022-06-28 施耐德电器工业公司 用于执行面向事件的控制程序的执行环境

Also Published As

Publication number Publication date
DE102017123911A1 (de) 2019-04-18
EP3470937B1 (de) 2023-08-23

Similar Documents

Publication Publication Date Title
EP3170287B1 (de) Steuer- und datenübertragungssystem, gateway-modul, e/a-modul und verfahren zur prozesssteuerung
DE102004015617B4 (de) Online-Geräteprüfblock, der in ein Prozeßsteuerungs-/Sicherheitssystem integriert ist
EP4235323B1 (de) Verfahren und vorrichtung zur automatischen validierung von sicherheitsfunktionen an einem modular aufgebauten sicherheitssystem
EP2981868B1 (de) Steuer- und datenübertragungsanlage, prozesseinrichtung und verfahren zur redundanten prozesssteuerung mit dezentraler redundanz
EP3069202B1 (de) Sicherheitssteuerung mit konfigurierbaren eingängen
EP3745217B1 (de) Vorrichtung zum überwachen einer datenverarbeitung und - übertragung in einem sicherheitssystems
DE102007054672A1 (de) Feldgerät zur Bestimmung oder Überwachung einer Prozessgröße in der Prozessautomatisierung
EP2302472A2 (de) Steuerungssystem zum Steuern von sicherheitskritischen Prozessen
EP1296207B1 (de) HMI Gerät und Verfahren zur Bedienung einer technischen Einrichtung, Automatisierungssystem mit HMI Gerät und Computerprogrammprodukt mit Programm zur Durchführung des Verfahrens in einem HMI Gerät oder Automatisierungssystem
EP3079028A1 (de) Planungs- und engineering-verfahren, -software-tool und simulationswerkzeug für eine automatisierungslösung
EP2078253A2 (de) Verfahren und vorrichtung zur fehlerverwaltung
DE102014111361A1 (de) Verfahren zum Betreiben einer Sicherheitssteuerung und Automatisierungsnetzwerk mit einer solchen Sicherheitssteuerung
EP3470937B1 (de) Verfahren und vorrichtungen zum überwachen der reaktionszeit einer durch ein sicherheitssystem bereitgestellten sicherheitsfunktion
EP3470939B1 (de) Verfahren und system zum überwachen der sicherheitsintegrität einer durch ein sicherheitssystem bereitgestellten sicherheitsfunktion
EP2375636A1 (de) Vorrichtung und Verfahren zum Konfigurieren eines Bussystems
WO2025171960A1 (de) Fehlererkennungsverfahren
EP2950176A1 (de) Verfahren und Automatisierungskomponente zur Generierung einer Ereignismeldung
DE102009002734A1 (de) Feldgerät zur Bestimmung oder Überwachung einer Prozessgröße in der Prozessautomatisierung
DE102010038484A1 (de) Verfahren und Vorrichtung zum Steuern einer Anlage
EP3026514B1 (de) Automatisierungsanlage und verfahren zur externen steuerung eines selbsttestalgorithmus in einer dezentralen sicherheitseinrichtung
DE102021123596A1 (de) Technik zur Bereitstellung einer Diagnosefunktionalität für eine auf einer speicherprogrammierbaren Steuerung basierenden Anwendung
EP2482154A1 (de) Verfahren und Bediengerät zum Bedienen einer sicherheitsgerichteten industriellen Automatisierungskomponente

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20181005

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

AX Request for extension of the european patent

Extension state: BA ME

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

17Q First examination report despatched

Effective date: 20210714

GRAP Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOSNIGR1

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: GRANT OF PATENT IS INTENDED

INTG Intention to grant announced

Effective date: 20221014

GRAJ Information related to disapproval of communication of intention to grant by the applicant or resumption of examination proceedings by the epo deleted

Free format text: ORIGINAL CODE: EPIDOSDIGR1

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

GRAP Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOSNIGR1

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: GRANT OF PATENT IS INTENDED

INTC Intention to grant announced (deleted)
INTG Intention to grant announced

Effective date: 20230310

INTG Intention to grant announced

Effective date: 20230316

P01 Opt-out of the competence of the unified patent court (upc) registered

Effective date: 20230512

GRAS Grant fee paid

Free format text: ORIGINAL CODE: EPIDOSNIGR3

GRAA (expected) grant

Free format text: ORIGINAL CODE: 0009210

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE PATENT HAS BEEN GRANTED

AK Designated contracting states

Kind code of ref document: B1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

REG Reference to a national code

Ref country code: GB

Ref legal event code: FG4D

Free format text: NOT ENGLISH

REG Reference to a national code

Ref country code: CH

Ref legal event code: EP

REG Reference to a national code

Ref country code: DE

Ref legal event code: R096

Ref document number: 502018013030

Country of ref document: DE

REG Reference to a national code

Ref country code: IE

Ref legal event code: FG4D

Free format text: LANGUAGE OF EP DOCUMENT: GERMAN

REG Reference to a national code

Ref country code: LT

Ref legal event code: MG9D

REG Reference to a national code

Ref country code: NL

Ref legal event code: MP

Effective date: 20230823

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: GR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20231124

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20231223

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: RS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: PT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20231226

Ref country code: NO

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20231123

Ref country code: NL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: LV

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: LT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: IS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20231223

Ref country code: HR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: GR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20231124

Ref country code: FI

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: PL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: ES

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SM

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: RO

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: ES

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: EE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: DK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: CZ

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: SK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

REG Reference to a national code

Ref country code: DE

Ref legal event code: R097

Ref document number: 502018013030

Country of ref document: DE

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

Ref country code: MC

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

REG Reference to a national code

Ref country code: CH

Ref legal event code: PL

REG Reference to a national code

Ref country code: BE

Ref legal event code: MM

Effective date: 20231031

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: LU

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20231005

PLBE No opposition filed within time limit

Free format text: ORIGINAL CODE: 0009261

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: NO OPPOSITION FILED WITHIN TIME LIMIT

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: LU

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20231005

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: CH

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20231031

GBPC Gb: european patent ceased through non-payment of renewal fee

Effective date: 20231123

26N No opposition filed

Effective date: 20240524

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: FR

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20231023

Ref country code: CH

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20231031

Ref country code: SI

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: BE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20231031

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20231005

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: GB

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20231123

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20231005

Ref country code: GB

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20231123

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: BG

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: BG

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823

REG Reference to a national code

Ref country code: AT

Ref legal event code: MM01

Ref document number: 1603305

Country of ref document: AT

Kind code of ref document: T

Effective date: 20231005

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: AT

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20231005

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: AT

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20231005

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: DE

Payment date: 20241227

Year of fee payment: 7

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: CY

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT; INVALID AB INITIO

Effective date: 20181005

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: HU

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT; INVALID AB INITIO

Effective date: 20181005

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: TR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20230823